DNS over HTTPS (DoH): wat het is en hoe je het test

Wat DoH werkelijk doet

DoH stuurt DNS-query's en -antwoorden binnen HTTPS, hetzelfde protocol dat wordt gebruikt voor gewoon surfen, in plaats van de traditionele platte-tekst UDP of TCP op poort 53. Voor een waarnemer op het netwerk is een DoH-query niet te onderscheiden van elk ander HTTPS-verzoek aan die server.

Waarom dit ertoe doet

Een platte-tekst DNS-query onthult aan iedereen op het pad — je internetprovider, de beheerder van een openbaar wifinetwerk, of een aanvaller op het pad — elk domein dat je opzoekt, zelfs als de site zelf daarna via HTTPS wordt geladen. DoH versleutelt de query zelf en dicht precies dat gat.

DoH versus DNS over TLS (DoT)

DoT versleutelt DNS op dezelfde manier, maar via een eigen, toegewezen poort, 853. Dat maakt het net zo makkelijk te blokkeren als gewoon DNS — een netwerkbeheerder hoeft maar één poort te blokkeren. DoH deelt bewust poort 443 met gewoon HTTPS-verkeer, waardoor het blokkeren ervan zonder ook het grootste deel van het web te blokkeren veel moeilijker is.

De afweging

Diezelfde eigenschap maakt DoH echt controversieel: het kan DNS-gebaseerde filtering omzeilen die op netwerkniveau is ingesteld — door een werkgever, een school of ouderlijk-toezichtsoftware — omdat het verkeer niet meer als DNS overkomt voor alles wat poort 53 in de gaten houdt. Dit is een reële, actief bediscussieerde afweging tussen individuele privacy en de handhaving van netwerkbeleid, geen afgehandelde technische voetnoot.

Controleren of DoH actief is

Het rechtstreeks testen van het DoH-eindpunt van een resolver bevestigt of deze correct reageert via HTTPS, ongeacht of je browser of besturingssysteem daadwerkelijk is geconfigureerd om het dagelijks te gebruiken.